WordPress reste le moteur d'une grande partie des sites vitrine et corporate en France et en Suisse. C'est aussi l'une des cibles les plus attaquées : pas parce que le cœur du CMS est « mauvais », mais parce qu'il est partout, et parce que l'essentiel du risque se joue dans les extensions, les thèmes et les habitudes de mise à jour.
Chez Genevois Informatique, nous voyons encore trop de sites livrés une fois, puis laissés sans suivi. Le résultat est prévisible : un plugin oublié, une faille publiée, un robot qui scanne Internet le soir même.
Ce qui se passe vraiment sur un WordPress oublié
Le cœur de WordPress publie des correctifs de sécurité plusieurs fois par an. Les équipes du projet font ce travail. Votre risque, lui, se concentre ailleurs.
Les attaques que nous traitons le plus souvent ne visent pas « WordPress » en général. Elles visent un module e-commerce mal patché, un constructeur de pages dont une version ancienne autorise l'upload de fichiers, un thème pirate livré avec une backdoor, ou un compte administrateur dont le mot de passe n'a jamais tourné.
Une fois l'accès obtenu, le scénario est toujours le même : injection de spam SEO, redirection vers un site de phishing, minage, vol de formulaires, parfois chiffrement si le même serveur héberge d'autres dossiers. Pour un cabinet ou un commerce, à Genève comme à Paris ou Lausanne, cela veut dire un site hors ligne, une réputation abîmée, et des heures de remise en état.
Les failles ne viennent pas d'une seule case
Il est tentant de croire qu'un cadenas vert et une mise à jour « de temps en temps » suffisent. En pratique, le périmètre à surveiller est plus large.
Le cœur : les versions mineures de sécurité doivent être appliquées vite. Attendre « le prochain chantier de contenu » revient à laisser une porte connue ouverte.
Les plugins : c'est le premier vecteur. Un site de dix extensions, c'est dix éditeurs, dix calendriers de correctifs, dix façons d'abandonner un produit. Une extension orpheline n'a plus de patch. Elle reste dans votre tableau de bord, et dans le viseur des scans automatisés.
Les thèmes : un thème nul part plus mis à jour, ou copié hors boutique officielle, est un classique. Nous refusons d'exploiter un thème dont l'origine n'est pas claire.
Les identifiants : XML-RPC, xmlrpc.php, attaques par force brute sur /wp-login.php, comptes partagés entre l'agence, le stagiaire et le dirigeant. Sans limitation des tentatives et sans double authentification, le mot de passe le plus « original » finit par céder.
L'hébergement : PHP obsolète, fichiers accessibles en écriture trop large, sauvegardes uniquement sur le même disque. Un WordPress à jour sur un PHP 7.4 n'est pas un WordPress sain.
Pourquoi « on verra plus tard » coûte plus cher
Le contrat de maintenance WordPress est facturé 500 HT par an, le 1er janvier, en euros ou en francs (même chiffre). Hors contrat, une remise en état après défacement ou ransomware se compte en heures d'urgence : 230 HT de l'heure si vous n'êtes pas déjà client.
La différence n'est pas seulement financière. Un site compromis, c'est aussi Search Console qui signale un logiciel malveillant, Google qui retire des pages, des clients qui tombent sur une page de spam. Remonter un référencement après un piratage prend des semaines. Appliquer les correctifs la semaine où ils sortent prend des minutes.
Nous ne promettons pas l'invulnérabilité. Nous promettons un site suivi, des mises à jour posées, une sauvegarde hors de la machine, et quelqu'un qui répond quand un bandeau rouge apparaît dans l'administration.
Ce que contient une offre de maintenance sérieuse
Une maintenance n'est pas « on clique sur Mettre à jour une fois par trimestre ». Voici le socle que nous appliquons, aligné sur notre page maintenance WordPress :
- Mises à jour du cœur, des thèmes et des plugins, avec contrôle visuel après coup. Un plugin qui casse le tunnel de commande n'a rien à faire en production sans test.
- Sauvegardes régulières, stockées hors du serveur d'hébergement. Restaurer depuis le même disque que le site piraté ne sert à rien.
- Supervision de disponibilité et alertes. Vous n'apprenez pas la panne par un client mécontent.
- Correctifs de sécurité, durcissement basique (permissions, XML-RPC, limitation des tentatives de connexion).
- Un interlocuteur nommé, joignable en français, facturé en EUR ou en CHF, depuis Saint-Julien-en-Genevois.
Ce qui n'est pas de la maintenance : refondre le design, ajouter une boutique, migrer d'hébergeur sans devis. Ces sujets se chiffrent à part. La création d'un site vitrine part de 900 HT. La maintenance annuelle, elle, protège ce que vous avez déjà payé.
Comment nous procédons
Nous commençons par un état des lieux : version PHP, liste des extensions, comptes, sauvegardes existantes, certificat, Search Console. Ensuite nous posons le contrat, le calendrier de mises à jour et le canal d'alerte. Vous n'avez pas à ouvrir wp-admin chaque lundi.
Si votre site a déjà un doute (lenteur soudaine, utilisateurs inconnus, fichiers PHP à la racine que personne n'a déposés), dites-le avant. Nous isolons, nous nettoyons, puis nous enchaînons sur le suivi. L'urgence 24/7 existe pour les cas bloquants. Le contrat sert à ne plus en arriver là.
À retenir
WordPress n'est pas « insecurisé par nature ». Un WordPress sans propriétaire l'est. Les failles se publient. Les robots les testent le jour même. Un contrat à 500 HT par an, c'est le prix de rester dans la course, pas un luxe de grand groupe.
Si vous avez un site WordPress en France ou en Suisse, demandez un devis. Nous vous disons clairement si le site est récupérable en l'état, ou s'il faut d'abord assainir.